CVE-2021-24258

ElementsKit Elementor Addons en la versión 2.1.x y anteriores contiene múltiples vulnerabilidades de cross-site scripting almacenado que afectan varios widgets, incluyendo fun fact, heading, icon box, image box, pricing, y motion text (solo versión pro). Usuarios con privilegios más bajos, como colaboradores, pueden inyectar JavaScript malicioso a través de varios parámetros como ekit_funfact_title_size, ekit_heading_title_tag, ekit_icon_box_title_size, ekit_image_box_title_size, ekit_pricing_title_size, y ekit_motion_text_sub_title_tag enviando solicitudes modificadas de save_builder. El código inyectado se ejecuta cuando administradores, editores u otros usuarios ven o previsualizan las publicaciones comprometidas. La vulnerabilidad fue corregida en la versión 2.2.0.

Basado en datos públicos de CVE (MITRE/NVD).